Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Windows Server 2016/2019/2022 (http://forum.oszone.net/forumdisplay.php?f=119)
-   -   RDP (http://forum.oszone.net/showthread.php?t=339895)

Rubichek 28-03-2019 19:34 2865612
RDP
 
Доброе время суток.
1. Есть терминальный сервер
2. Есть 10 пользователей которые подключаются по RDP

Когда пользователи подключились они видят все каталоги на диске D как можно ограничить отображение каталогов что бы каждый пользователь видел свой каталог, а каталоги остальных пользователей не видел.

Спасибо!

James Marsh 28-03-2019 21:56 2865643
Ой.. Такое мы проходили лет 5 назад.
Костыль:
Диск Д - досуп только Администраторам
Далее делаете каталог Share, в нем каталоги %username% Ваших пользователей.
Каталог Share расшариваете, настраивате права как вам надо
Потом в общую автозагрузку ярлык на cmd
Код:
net use Z: \\%computername%\Share\%username%
где %computername% имя/ип вашего сервера

По итогу каждому при логоне примапится сетевой диск из которого пользователь выбраться не сможет. Главное правильно права на каталоги и шару поставить.


Да, я в курсе - костыль еще тот

Rubichek 28-03-2019 22:29 2865651
Цитата:
Цитата James Marsh
Ой.. Такое мы проходили лет 5 назад. »
Спасибо! ОК на сейчас есть какой то более правильный выход из ситуации???
А зачем тогда подключаться по rdp что бы получить доступ к своему каталогу с данными которые лежат на диске D.
Если можно ввести пользователей в домен и к каждой учетке подключить сетевой диск не заходя по rdp.

James Marsh 28-03-2019 23:03 2865661
Какие были исходные данные, такой костыль и написал. =)
Исходил из того, что терминальный сервер хз где, пользователи там локальные, домена нет планета населена роботами.

Rubichek 28-03-2019 23:05 2865663
Пользователи в домене и подключаются к этому серверу по RDP

Busla 28-03-2019 23:06 2865665
и при чём здесь RDP?
если пользователь локально зайдёт в систему, у него по-вашему должна быть другая "картина"?

Не получится так сделать.
Можно насоздавать каталогов для пользователей и убрать "Список содержимого папки" для родительского каталога. Свой каталог пользователь не увидит, но на него можно сделать ярлык.
Только к чему всё это? - у пользователей уже есть свой личный профиль со своим личным каталогом "Documents".

Rubichek 28-03-2019 23:26 2865671
Цитата:
Цитата Busla
и при чём здесь RDP? »
Когда пользователь подключиться по rdp он будет видеть весь диск D зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то?

zai 29-03-2019 11:48 2865734
Цитата:
Цитата Rubichek
Когда пользователь подключиться по rdp он будет видеть весь диск D »
В групповой политике есть пункт скрыть диск (можешь выбрать любую букву).
Цитата:
Цитата Rubichek
зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? »
Ну, так настрой разрешение (вкладка Безопасность в свойстве папки) к папкам.

Iska 29-03-2019 16:51 2865794
Цитата:
Цитата Rubichek
зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? »
И что? Причём тут доступ? Видеть — пусть видит. Знаете выражение — «Видит око, да зуб неймёт»? Вас (или заказчика данной хотелки) не смущает то, что в каталоге Documents and Settings/Users пользователю видны каталоги всех профилей, а не только его собственный?

Нет, оно, конечно, можно, но… не нужно.

ShaddyR 29-03-2019 18:33 2865816
Цитата:
Цитата zai
так настрой разрешение (вкладка Безопасность в свойстве папки) к папкам. »
однозначно.
Если все настроено правильно - т.е. у пользователя нет возможности использовать сторонний файл-менеджер - будь-то местный либо вброшенный в сеанс любыми средствами - переназначается папка Documents на нужный диск (в данном случае D:) в отдельную папку - типа D:\USERS - в папку с именем пользователя %username%, т.е. итоговая ссылка будет на D:\USERS\%username%. К конечной папке даем доступ ТОЛЬКО админам да самому юзеру. Диски скрываем от юзера вообще. Профит.
ЗЫ: рекомендую полистать возможности команды mklink... она умеет выкинуть любую папку юзеру прямо на рабочий стол, с где бы она не росла на самом деле.

Iska 29-03-2019 18:51 2865824
Цитата:
Цитата ShaddyR
т.е. у пользователя нет возможности использовать сторонний файл-менеджер »
cmd.exe и powershell.exe тоже запретим?

ShaddyR 29-03-2019 21:43 2865855
Iska, ессно. Зачем юзеру самостоятельно запускать cmd? А тем паче powershell?

Iska 29-03-2019 22:40 2865873
ShaddyR, а как же logon/logout-скрипты выполнять (WSH, как я понимаю, мы тоже запретим, вкупе с mshta, IE, VBA и vbc.exe/csc.exe) :dont-know ?!

Charg 29-03-2019 23:13 2865875
Цитата:
Цитата Rubichek
зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? »
А зачем пользователю подключаться куда-то по RDP чтобы получать доступ к нужным документам? Размещать документы нужно на предназначенных для этого серверах с соответствующими ролями, а терминальный сервер с файлохранилищем ничего общего иметь не должен.
Цитата:
Цитата Rubichek
ОК на сейчас есть какой то более правильный выход из ситуации??? »
Раз всё в домене - DFS

Busla 30-03-2019 11:02 2865897
Цитата:
Цитата Rubichek
Когда пользователь подключиться по rdp он будет видеть весь диск D зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? »
хорошо пойдём от обратного:

Когда пользователь подключается по TeamViewer, он будет видеть весь диск D зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? - предлагаю переименовать тему на TeamViewer!
Когда пользователь подключается по vpn, он будет видеть весь диск D зачем ему скажем доступ к папкам с другого отдела логистики или еще какого то? - предлагаю переименовать тему на vpn!

Не приходит в голову, что предоставляющий доступ к системе "механизм" не относится к распределению доступа внутри системы?

Цитата:
Цитата Charg
Раз всё в домене - DFS »
DFS - не панацея, а боль и компромисс
и мало подходит для работы пользователей с документами, т.к. не индексируется
а уж для десятка пользователей, так уж точно избыточно-бессмысленна, как и деление на несколько серверов

Charg 30-03-2019 11:57 2865909
Цитата:
Цитата Busla
DFS - не панацея, а боль и компромисс
и мало подходит для работы пользователей с документами, т.к. не индексируется
а уж для десятка пользователей, так уж точно избыточно-бессмысленна, как и деление на несколько серверов »
Что? В данном случае DFS отвечает за предоставление доступа и только, при чем тут индексация вообще?

ShaddyR 30-03-2019 12:25 2865915
Цитата:
Цитата Iska
как же logon/logout-скрипты выполнять »
DWORD-параметр DisableCMD = 2 - не? Вообще, зачем cmd и powershell бесправному пользователю?

Iska 30-03-2019 13:10 2865928
Цитата:
Цитата ShaddyR
Вообще, зачем cmd и powershell бесправному пользователю? »
Затем же, зачем и «правному» — для автоматизации регулярно повторяемых действий.

ShaddyR 30-03-2019 15:25 2865956
Цитата:
Цитата Iska
для автоматизации регулярно повторяемых действий »
ограниченному пользователю терминал-сервера? Автоматизировать что-то? Такое ощущение, что ты все к себе примеряешь.

Busla 30-03-2019 17:16 2865976
Цитата:
Цитата ShaddyR
зачем cmd и powershell бесправному пользователю? »
вы пропустили слово:
зачем cmd и powershell запрещать бесправному пользователю?
если прав нет, то он это и не сделает
а если права есть - с большой вероятностью есть возможность сделать это и без powershell

Цитата:
Цитата ShaddyR
ограниченному пользователю терминал-сервера? Автоматизировать что-то? »
Так в этом и смысл терминального сервера - предоставлять полноценную пользовательскую среду.
А так можно было бы обойтись одним только RemoteApp, а в большинстве случаев - клиентским приложением.

ShaddyR 30-03-2019 22:41 2866013
Цитата:
Цитата Busla
зачем cmd и powershell запрещать бесправному пользователю? »
чтоб не было желания проверить свою бесправность и\или нанести вред - себе ли, системе ли, не важно. Кроме того, Busla, вспомни заданный ТС вопрос. Собственно, за этим. Среда работы пользователя должна быть подготовлена для него админом. Ее состав пользователь не может и не должен менять. Набор программ определен, их список регулируется специализацией. Ничего, кроме выделенного, доступно быть не должно. В противном случае - базар-вокзал, нехватка ресурсов и шифровальщик на сладкое.

Iska 30-03-2019 23:03 2866017
И что должен пользовать администратор для:
Цитата:
Цитата ShaddyR
Среда работы пользователя должна быть подготовлена »
в тех случаях, когда возможностей, предоставляемых посредством заданных профилей, групповой политики и предпочтений групповой политики тупо недостаточно?

ShaddyR 31-03-2019 03:29 2866043
Цитата:
Цитата Iska
что должен пользовать администратор »
ты в какой части рассуждения потерял его нить? Администратор пользует то, что ему удобно - он-то ни в чем не ограничен. Или я что-то пропустил в постановке тех.задания и у ТС все пользователи - администраторы? Тогда решение не сработает, вот и все. Точнее, не будет эффективным, по очевидным причинам. Встречный вопрос: что пытаешься доказать-то?

Iska 31-03-2019 15:26 2866090
ShaddyR, вернёмся к нашим баранам — как исполнять logon/logout-скрипты под пользователем, если задать ему запрет на использование пакетных файлов, скриптов WSH и PowerShell? Я пытаюсь объяснить, что мы таким макаром не пользователя ограничиваем (пользователь всё равно дальше своего профиля не сунется, привилегий-то нет), мы администратору мешаем.

ShaddyR 01-04-2019 03:22 2866146
Iska, а ты все сообщения подряд читаешь или по какому-то другому принципу?
Цитата:
Цитата Iska
как исполнять logon/logout-скрипты под пользователе »
->
Цитата:
Цитата ShaddyR
DWORD-параметр DisableCMD = 2 - не? »
>
Цитата:
Цитата Iska
пользователь всё равно дальше своего профиля не сунется, привилегий-то нет »
пользователь может и не сунуться. А запущенное от его имени - вполне. Или ты свято веруешь в то, что все дыры по получению\смене привилегий под пользователем в серверных ОС давно заделаны? Оставлять дырку в заборе со словами "та тут никто обычно не ходит" - ну-ну.

Busla 01-04-2019 10:53 2866173
ShaddyR, ты сам себе противоречишь, политика про которую ты твердишь (DisableCMD = 2) запретит только интерактивный запуск консоли, а batch-файлы разрешит вообще, не ограничиваясь logon/logoff.
Т.е. ставишь палки в колёса пользователю, который может и не сунуться? и даёшь зелёный свет всему запущенному от его имени.

Цитата:
Цитата ShaddyR
Оставлять дырку в заборе со словами "та тут никто обычно не ходит" »
Как раз наоборот, это ты ориентируешься не на закрытие дырки, а на какие-то косвенные меры.

ShaddyR 01-04-2019 15:59 2866208
Цитата:
Цитата Busla
запретит только интерактивный запуск консоли, а batch-файлы разрешит вообще, не ограничиваясь logon/logoff.
Т.е. ставишь палки в колёса пользователю, который может и не сунуться? и даёшь зелёный свет всему запущенному от его имени. »
не понимание концепции не противоречит ее жизнеспособности. Твой случай. Еще раз, надеюсь последний: юзер НЕ должен САМ что-либо запускать. Большая часть вредоносов использует командную строку как таковую, а НЕ bat'ники. Юзер может запускать только ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором. Прекращайте рисовать непонимание очевидных вещей.

Iska 01-04-2019 17:32 2866214
Цитата:
Цитата ShaddyR
Iska, а ты все сообщения подряд читаешь или по какому-то другому принципу? »
Я читал. И не могу понять. Пакетные файлы мы ему разрешаем исполнять — ну, и смысл запрета тогда в чём был?

Цитата:
Цитата ShaddyR
пользователь может и не сунуться. А запущенное от его имени - вполне. Или ты свято веруешь в то, что все дыры по получению\смене привилегий под пользователем в серверных ОС давно заделаны? Оставлять дырку в заборе со словами "та тут никто обычно не ходит" - ну-ну. »
Я свято верую в то, что либо мы используем существующую парадигму, либо меняем профессию. Дырки в заборе используют ошибки в существующем легальном программном обеспечении, в том числе и самой ОС, как, например, это было с обработчиком изображений в библиотеке WIA, как это было с обработчиком lnk-файлов, с обработчиком иконок и т.п. Понимаете? Не требовалось для этого ни пакетных файлов, ни скриптов, ни исполняемых файлов — достаточно было просто зайти в Проводнике в каталог с включённым отображением иконок, с включённым отображением превьюшек, просто попытаться запустить ярлык — и этого было достаточно.

Цитата:
Цитата ShaddyR
Большая часть вредоносов использует командную строку как таковую, а НЕ bat'ники. »
Поясните. Мне таковые не попадались.

Цитата:
Цитата ShaddyR
Юзер может запускать только ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором. »
Так описанная Вами политика никак не поможет отличить «ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором» от созданных пользователем. Она просто разрешает исполнение любых пакетных файлов и запрещает открытие интерпретатора команд.

ShaddyR 02-04-2019 02:40 2866265
Цитата:
Цитата Iska
Так описанная Вами политика никак не поможет отличить «ТЕ BAT'ники, входят в состав разрешенного ПО или написаны\положены администратором» от созданных пользователем. Она просто разрешает исполнение любых пакетных файлов и запрещает открытие интерпретатора команд. »
Т.е. если я тебе скажу, что пользователю можно запретить запускать батники откуда-либо, кроме рабочего стола и никакие другие папки ему доступны не будут, равно как и возможности писать на рабочий стол у него нет - ты наконец уловишь идею?
Как дети, чесслово. Мне начало поднадоедать доносить простые вещи. Хочешь уяснить для себя что-то, выходящее за пределы твоего понимания - создай соотв. тему и задавай вопросы в ней. 17 сообщений оффтопа в теме не кажутся тебе перебором?


Время: 23:15.

Время: 23:15.
© OSzone.net 2001-